Chapitre 8 : La sécurité dans les SI

Présentation au sujet: "Chapitre 8 : La sécurité dans les SI"— Transcription de la présentation:

1 Chapitre 8 : La sécurité dans les SI

2 Objectifs du chapitre Comprendre l’aspect global de la sécurité des SI
Savoir ce qu’est un plan de secours Connaître les bases de la sécurité physique et logique Connaître quelques mesures de sécurité

3 Plan du chapitre 1. Les enjeu de la sécurité
1.1 Notion de sinistre 1.2 Notion de risques 2. Concept de sécurité des SI 3. Assurer la continuité d’exploitation : le plan de secours 4. La démarche sécurité 5. Les mesures de sécurité 5.1 En interne 5.2 Dans les communications externes

4 Plan du chapitre 1. Les enjeu de la sécurité
1.1 Notion de sinistre 1.2 Notion de risques 2. Concept de sécurité des SI 3. Assurer la continuité d’exploitation : le plan de secours 4. La démarche sécurité 5. Les mesures de sécurité 5.1 En interne 5.2 Dans les communications externes

5 Introduction L'objectif de la sécurité des systèmes d'information est de garantir qu'aucun préjudice ne puisse mettre en péril la pérennité de l'entreprise. Cela consiste à diminuer la probabilité de voir des menaces se concrétiser, à en limiter les atteintes ou dysfonctionnements induits, et autoriser le retour à un fonctionnement normal à des coûts et des délais acceptables en cas de sinistre La sécurité ne permet pas directement de gagner de l'argent mais évite d'en perdre. Ce n'est rien d'autre qu'une stratégie préventive. La gestion de la sécurité est spécifique à la structure organisationnelle de l'entreprise et dépend de sa stratégie. Il existe donc autant de politiques, de procédures, d'outils de sécurité que d'entreprises et de besoins sécuritaires.

6 Plan du chapitre 1. Les enjeu de la sécurité
1.1 Notion de sinistre 1.2 Notion de risques 2. Concept de sécurité des SI 3. Assurer la continuité d’exploitation : le plan de secours 4. La démarche sécurité 5. Les mesures de sécurité 5.1 En interne 5.2 Dans les communications externes

7 Notion de sinistre Un sinistre est :
« la détérioration notable des fonctionnalités d’un SI » Un sinistre est possible car un SI est vulnérable Le préalable au sinistre est «l’agression »

8 Plan du chapitre 1. Les enjeu de la sécurité
1.1 Notion de sinistre 1.2 Notion de risques 2. Concept de sécurité des SI 3. Assurer la continuité d’exploitation : le plan de secours 4. La démarche sécurité 5. Les mesures de sécurité 5.1 En interne 5.2 Dans les communications externes

9 4 classes de risques Classe 1 : les accidents Classe 2 : les erreurs
Incendie, inondation, pannes techniques Classe 2 : les erreurs Erreur de saisie manuelle de l’information Erreur de conception et de réalisation des logiciels (bugs)

10 4 classes de risques Classe 3 : les malveillances
Vol, fraudes, sabotage, piratage Indiscrétions Attaques virales Détournement de biens Classe 4 : les risques divers Grève, départ du personnel spécialisé

11 Les risques encourus proviennent donc de 2 sources :
Risques externes Risques internes

12 Plan du chapitre 1. Les enjeu de la sécurité
1.1 Notion de sinistre 1.2 Notion de risques 2. Concept de sécurité des SI 3. Assurer la continuité d’exploitation : le plan de secours 4. La démarche sécurité 5. Les mesures de sécurité 5.1 En interne 5.2 Dans les communications externes

13 La sécurité des SI est un concept à deux dimensions
Dimension technique (informatique) Dimension organisationnelle, managériale et humaine

14 La politique de sécurité correspond à ce que l’entreprise met en œuvre pour assurer la sécurité du SI. L’important est d’assurer la continuité de l’exploitation c’est-à-dire du fonctionnement de l’entreprise.

15 2 aspects dans la sécurité :
Préventif : réduire le degré de vulnérabilité Curatif : mesures de récupération, mesures palliatives

16 Concrètement il s’agit de :
Mettre en place tous les moyens de prévention, de détection des agressions afin d’éviter les sinistres Mettre en place tous les moyens pour limiter l’impact d’un sinistre si celui-ci doit avoir lieu

17 La gestion de la sécurité se fait dans un univers incertain
Les sinistres résultent de causes diverses et parfois de combinaisons de causes difficilement prévisibles

18 Cela signifie que la sécurité doit être abordée dans un contexte global :
La sensibilisation des utilisateurs aux problèmes de sécurité La sécurité des télécommunications La sécurité logique : données et programmes La sécurité physique : locaux, infrastructures, matériels

19 Plan du chapitre 1. Les enjeu de la sécurité
1.1 Notion de sinistre 1.2 Notion de risques 2. Concept de sécurité des SI 3. Assurer la continuité d’exploitation : le plan de secours 4. La démarche sécurité 5. Les mesures de sécurité 5.1 En interne 5.2 Dans les communications externes

20 Assurer la continuité d’exploitation
La sécurité absolue ne peut pas être garantie. Il faut donc anticiper l'arrivée de tels sinistres en ayant prévu un plan de continuité d'entreprise. Lors de la survenance de tel sinistre et dans la panique et le stress, il est évidemment trop tard pour se demander qui fait quoi, où et comment ?

21 Assurer la continuité d’exploitation
Pour ce faire, le plan de continuité d'entreprise est composé : de mesures de prévention, pour diminuer la probabilité d'occurrence d'une défaillance, de mesures de détection et de réaction, en ayant de bon réflexe, de plans de secours, pour diminuer les conséquences du sinistre.

22 Les plans de secours Il n'est pas seulement composé des moyens de secours. Il doit comprendre une structure de gestion de crise, la planification des différentes actions prêtes à être exécutées et des procédures formalisées.

23 Composition des plans de secours
Un plan de secours se décompose en différents plans : 1. un plan de gestion et de communication de crise,

24 Composition des plans de secours
2. un PCA (plan de continuité d'activité) par métiers de l'entreprise, pouvant nécessiter un site de repli hébergeant les activités prioritaires. Le plan de continuité se constitue en quatre volets : l’établissement d’une liste de scénarios d’incidents envisageables (de la panne disque au tremblement de terre), la rédaction des procédures de secours, la mise en place des moyens et dispositions définis, le contrôle permanent de la pertinence et de l’efficacité des scénarios.

25 Composition des plans de secours
3. un plan de retour à une situation normale.

26 Composition des plans de secours
Ces plans doivent être déclinés en fonction des sinistres qu'ils doivent pallier. Un plan de secours " viral " n'aura pas les mêmes caractéristiques qu'un plan de secours " inondation ".

27 Plan du chapitre 1. Les enjeu de la sécurité
1.1 Notion de sinistre 1.2 Notion de risques 2. Concept de sécurité des SI 3. Assurer la continuité d’exploitation : le plan de secours 4. La démarche sécurité 5. Les mesures de sécurité 5.1 En interne 5.2 Dans les communications externes

28 Démarche sécurité Utilisation d’une méthode
En France : Méthode M.A.R.I.O.N MARION = Méthode d’Analyse des Risques Informatiques et d’ Optimisation par Niveaux

29 Démarche sécurité : MARION
1. Analyse des risques 2. Expression du risque maximum admissible 3. Analyse des moyens de la sécurité 5. Choix des moyens Protection, prévention 4. Evaluation des contraintes 6. Plan d’orientation

30 1. Quels risques encourt-on ? (par types, par fonction…)
2. Peut on supporter ce risque ? Quelle perte peut supporter l’entreprise sans remettre en cause sa pérennité ? 3. Quelle est actuellement la qualité de notre sécurité ? (questionnaire d’audit)

31 4. Quelles sont les contraintes majeures à respecter
4. Quelles sont les contraintes majeures à respecter ? techniques (liées aux bâtiments par ex) humaines (motivation, formation par ex) financières (coût)

32 5. Comment améliorer la sécurité en fonction des contraintes
5. Comment améliorer la sécurité en fonction des contraintes ? But : trouver la solution optimale (prévention/protection) en efficacité et en coût. 6. Quel schéma d’action mettre en œuvre ? A partir des résultats de l’étape 5 les orientations retenues sont mises en forme en termes de budgets, de planning, de solution technique  Ce document : expression de la politique de sécurité de l’entreprise.

33 Plan du chapitre 1. Les enjeu de la sécurité
1.1 Notion de sinistre 1.2 Notion de risques 2. Concept de sécurité des SI 3. Assurer la continuité d’exploitation : le plan de secours 4. La démarche sécurité 5. Les mesures de sécurité 5.1 En interne 5.2 Dans les communications externes

34 Mesures de sécurité Il est très difficile de lister l’ensemble des mesures possibles. On peut se donner quelques pistes de réflexion grâce à une analyse par décomposition successive

35 Analyse par décomposition (exemple)
Vulnérabilité (voie d’accès à une ressource du système) Voie d’accès logique (données, programmes) Voie d’accès physique Aux locaux Aux ressources dans les locaux Aux ressources hors des locaux Violation des droits d’accès Usurpation des droits d’accès

36 Analyse par décomposition (exemple)
Auteur de l’agression Nature Individu Incendie Eaux Autres Malveillance Erreurs Vengeance Gain Jeux

37 Plan du chapitre 1. Les enjeu de la sécurité
1.1 Notion de sinistre 1.2 Notion de risques 2. Concept de sécurité des SI 3. Assurer la continuité d’exploitation : le plan de secours 4. La démarche sécurité 5. Les mesures de sécurité 5.1 En interne 5.2 Dans les communications externes

38 Mesures de sécurité A l’intérieur de l’entreprise : Dans ses locaux
Dans ses processus Dans son organisation

39 Mesures de sécurité Sécurité physique des ressources Locaux adaptés
Protection incendie et eaux rigoureuse Sécurisation des accès aux locaux : badge, serrure, Biométrie Détecteurs d’intrusion, radars, alarmes Back-up : sauvegarde de données permettant une récupération (à faire régulièrement !!!) Utilisation d’un onduleur

40 Mesures de sécurité Sécurité logique (données et programmes)
Firewall (pare feu) Appliances Identification des utilisateurs par mots de passe (changés périodiquement) Gestion des accès réseaux

41 Mesures de sécurité Sécurité logique (données et programmes)
Confidentialité par chiffrement Contrôle des erreurs de saisie (procédures de vérification dans le logiciel) Antivirus, anti-spam, anti-spyware,

42 Mesures de sécurité Sécurité générale
Séparation des fonctions (principe FONDAMENTAL du contrôle interne) Garantie sur la compétence et la moralité des individus recrutés Opérer la rotation des individus sur les postes Action de formation sur la sécurité

43 Mesures de sécurité Assurance Infogérance de la sécurité
Couverture des risques classiques (incendie, dégâts des eaux…) Couvertures des pertes d’exploitation, des frais de reconstitution d’information Infogérance de la sécurité Transfert du risque à une société spécialisée

44 Mesures de sécurité Et à dans les relations-échanges avec l’extérieur (clients, administrations, fournisseurs, banques…) ?

45 Plan du chapitre 1. Les enjeu de la sécurité
1.1 Notion de sinistre 1.2 Notion de risques 2. Concept de sécurité des SI 3. Assurer la continuité d’exploitation : le plan de secours 4. La démarche sécurité 5. Les mesures de sécurité 5.1 En interne 5.2 Dans les communications externes

46 Mesures de sécurité VPN
PKI (public key infrastructure) : Structure (matériel + logiciel + homme et/ou prestataire extérieur) qui gère le cryptage, le décryptage et la signature électronique des informations échangés via un réseau de communication

47 Dans les échanges il y a un double besoin :
Besoin de confidentialité sur le réseau Besoin d’intégrité du message (le message est bien celui d’origine) et de garantie de l’émetteur

48 Le chiffrement par clé publique et privée
Pour une entreprise, un logiciel de chiffrement génère 2 clés (2 algorithmes mathématiques) qui sont liées l’une à l’autre : l’une est publique (diffusée à tout le monde) et l’autre est privée (confidentielle et conservée par l’entreprise) ; L’émetteur du message dispose de la clé publique ; le message est ensuite codée grâce à la clé publique qui présente la particularité de ne pouvoir être décodée seulement par la clé privée

49 Le certificat de sécurité
Certificat de sécurité : Document qui sert à faire transiter la clé publique d’une organisation vers un utilisateur. A quoi il sert ? : Il permet d’assurer que la clé publique que l’on se procure est bien celle du destinataire à qui on veut envoyer un message. Le certificat de toute organisation est délivré par une autorité de certification

50 La signature électronique
Empreinte (haché ou condensé) : Résultat de l’application d’une fonction mathématique sur le message (comme la clé RIB mais en plus perfectionné). Ce résultat représente la signature numérique du document Ce résultat est transmis par chiffrement au destinataire qui n’a plus qu’à comparer l’empreinte transmise et l’empreinte réelle qu’il calcule lui même

51 La confidentialité du message est préservée par le chiffrement
l’intégrité et l’émetteur du message sont validés par la signature électronique

52 Les objectifs du chapitre sont ils atteints ?
Comprendre l’aspect global de la sécurité des SI Savoir ce qu’est un plan de secours Connaître les bases de la sécurité physique et logique Connaître quelques mesures de sécurité